CVE-2022-1040

Un bypass de autenticación en el User Portal y Webadmin de Sophos Firewall permite a un atacante remoto saltarse la autenticación y ejecutar código en el propio firewall. Esta es la ubicación del peor caso: el componente vulnerable es el appliance de seguridad situado en el borde de la red, y el exploit no necesita credenciales ni interacción del usuario. Saltarse la autenticación en el mismísimo dispositivo destinado a hacerla cumplir, y luego ejecutar código en él, entrega el perímetro a un atacante.

Los appliances de seguridad de borde están entre los activos más agresivamente atacados en internet, precisamente porque sus superficies de administración están expuestas por diseño y un compromiso rinde una posición dominante —dentro del límite de confianza, capaz de ver y redirigir el tráfico, con persistencia en un dispositivo que pocos equipos reimaginan o reconstruyen a la ligera—. La RCE no autenticada en un firewall es exactamente lo que tanto los escáneres masivos como los actores dirigidos se apresuran a weaponizar tras la divulgación, y los dispositivos de borde de Sophos tienen un historial de ser explotados en la práctica. Este es un fallo de dejar-todo para cualquier instalación afectada.

Nuestro enfoque es la verificación de exposición primero, luego la detección, porque el User Portal y Webadmin dan a internet por naturaleza. Identificaríamos de inmediato cualquier Sophos Firewall en v18.5 MR3 o anterior, confirmaríamos si sus superficies de administración/portal son accesibles desde internet, y restringiríamos ese acceso a fuentes confiables como control provisional mientras se aplica la corrección del proveedor. Dado el objetivo, también buscaríamos señales de compromiso previo en lugar de asumir que la aplicación de parches por sí sola es suficiente: un dispositivo de borde es el tipo de activo que es comprometido antes de que termines el inventario.